Rechtliche Fragen & Antworten: Was darf ein Forschender mit menschlichen Biobankproben machen?

BBMRI.at Legal Helpdesk

Der BBMRI.at Legal Helpdesk Service – betrieben von Rechtsexpert*innen des BBMRI.at-Partners UNIVIE – beantwortet Fragen zu rechtlichen und regulatorischen Angelegenheiten im Zusammenhang mit Biobanking und/oder der Verwendung biologischer Proben und Daten. Dieser Service wird BBMRI.at-Partnern zur Unterstützung angeboten, da Biobanking und Forschung mit biologischen Proben und Daten (z.B. menschlich, tierisch/veterinär, mikrobiell, etc.) rechtliche Fragen aufwerfen können. Die Antworten von UNIVIE auf rechtliche Fragen werden in der BBMRI.at Knowledge Base veröffentlicht.

FRAGE:

Rechtliche Fragen & Antworten: Was darf ein Forschender mit menschlichen Biobankproben machen?

ANTWORT:

1. Einleitung

Biobanken müssen strenge rechtliche und regulatorische Anforderungen in Bezug auf die Einhaltung von Datenschutzbestimmungen, Ethikrichtlinien und Qualitäts- sowie Sicherheitsmaßnahmen einhalten. Der rechtliche Rahmen für Biobanken in der EU wurde in der Frage Nr. 5 des Legal Helpdesk behandelt und ist in der Legal Knowledge Base von BBMRI.at veröffentlicht. Von dem Moment an, in dem ein Forschender einen Datensatz durch eine der Biobank-Sammlungen, z.B. das BBMRI-ERIC Directory, entdeckt und sich entschließt, Zugang zu den Daten zu beantragen, muss der/die Forscher*in verschiedene rechtliche und ethische Anforderungen in Bezug auf den Zugang zu den Proben, den Datenschutz, zufällige Ergebnisse und damit zusammenhängende Angelegenheiten erfüllen.

2. Zugangsbedingungen

Biobanken verlangen, dass für jeden Antrag auf Zugang zu Proben eine rechtliche Dokumentation eingereicht wird. Die Empfehlungen der OECD (Organisation für wirtschaftliche Zusammenarbeit und Entwicklung) zu Humanbiobanken und genetischen Forschungsdatenbanken legen fest, dass jeder Zugangsantrag einen „wissenschaftlich und ethisch angemessenen“ Forschungsplan enthalten sollte.[1] Die Zugangsbedingungen zu Proben und in einer Biobank gesammelten Materialien sollten in einer geeigneten vertraglichen Vereinbarung zwischen der Biobank und dem Forschenden festgelegt werden, zum Beispiel in Form einer Materialtransfervereinbarung (Material Transfer Agreement).[2] Zugangsbedingungen sollten Informationen darüber enthalten, wie die Proben gehandhabt und gelagert werden sollen,[3] einschließlich der Anforderungen zum Datenschutz. Zusätzlich ist in der Regel eine Genehmigung einer Ethikkommission erforderlich.

Beispielsweise verlangt die Biobank der Medizinischen Universität Graz folgende Dokumente, um Proben an andere Forschende weiterzugeben:[4]

1. Eine vom Patienten unterschriebene Einwilligungserklärung,
2. Eine positive Entscheidung über das eingereichte Projekt durch die Ethikkommission,
3. Die Zustimmung der Biobankvertretung,
4. Für Forschende, die nicht von der Med Uni Graz stammen: eine unterzeichnete Kooperationsvereinbarung.

Forschende sollten sich darüber informieren, welche spezifischen Anforderungen für ihre jeweilige Biobank und für den Zugang zu den gewünschten Proben gelten. Sobald Forschende Zugang zu Proben oder Datensätzen aus einer Biobank erhalten haben, dürfen sie diese nur für die in den Zugangsbedingungen festgelegten Zwecke verarbeiten und verwenden.

3. Datenschutz

Zusätzlich zu den allgemeinen Zugangsbedingungen müssen Forschende die jeweils geltenden Datenschutzgesetze einhalten. In der EU gilt die Datenschutz-Grundverordnung (DSGVO)[5] sowie die jeweiligen nationalen Datenschutzgesetze.

Im Kontext des Biobanking werden Forschende, wenn sie eigene Forschungspläne für Forschungsprojekte einreichen, in der Regel zu gemeinsamen Verantwortlichen, da sie gemeinsam mit den Biobanken die Mittel und Zwecke der Verarbeitung personenbezogener Daten bestimmen, die in den Proben enthalten sind, auf die sie zugreifen möchten.[6] Das bedeutet, dass sie eine Vereinbarung über die gemeinsame Verantwortlichkeit abschließen müssen, in der die Pflichten und Verantwortlichkeiten jedes Verantwortlichen bezüglich des Schutzes personenbezogener Daten und der Rechte der Betroffenen festgelegt sind.[7] Zusätzlich kann von Forschenden verlangt werden, eine Datenschutz-Folgenabschätzung (Data Protection Impact Assessment, DPIA) gemäß Artikel 35 DSGVO einzureichen.

Als (gemeinsame) Verantwortliche müssen Forschende die folgenden allgemeinen Grundsätze der Datenverarbeitung einhalten:[8]

1. Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz,
2. Grundsatz der Zweckbindung,
3. Grundsatz der Datenminimierung,
4. Grundsatz der Richtigkeit,
5. Grundsatz der Speicherbegrenzung,
6. Grundsatz der Integrität und Vertraulichkeit,
7. Grundsatz der Rechenschaftspflicht.

Einige der Grundsätze enthalten spezielle Bestimmungen für die Verarbeitung personenbezogener Daten zu wissenschaftlichen Forschungszwecken. So dürfen personenbezogene Daten beispielsweise länger gespeichert werden, sofern sie ausschließlich für wissenschaftliche Forschungszwecke verarbeitet werden.[9] Um die Sicherheit und Integrität der in Biobanken gelagerten Proben zu gewährleisten, sind Forschende verpflichtet, gemäß der mit der Biobank getroffenen Vereinbarung die Vertraulichkeit der Daten durch moderne Pseudonymisierungsmethoden oder durch Anonymisierung der Proben sicherzustellen.[10] Im Falle eines Datenschutzvorfalls (Datenpanne) sollten Forschende die von der DSGVO vorgegebenen Regeln befolgen und gegebenenfalls die betroffenen Personen, andere Verantwortliche und die nationale Aufsichtsbehörde informieren.[11]

Zusätzlich müssen Verantwortliche die Rechte der betroffenen Personen einhalten (wie in der Antwort zu Frage 19 näher erläutert). Auch hier existieren Sonderregelungen für die Verarbeitung personenbezogener Daten zu Forschungszwecken. Beispielsweise ist die Informationspflicht gegenüber den betroffenen Personen in bestimmten Fällen eingeschränkt, wenn der Verantwortliche die Daten nicht direkt von der betroffenen Person erhoben hat und eine erneute Kontaktaufnahme unmöglich oder mit einem unverhältnismäßigen Aufwand verbunden wäre.[12] Der Verantwortliche muss zudem sicherstellen, dass die DSGVO eingehalten wird, bevor er die in Biobanken gespeicherten Proben mit Auftragsverarbeitern oder Dritten teilt, wobei dies speziellen vertraglichen Vereinbarungen unterliegt.[13]

Kurz gesagt: Beim Umgang mit biobankierten Proben, die personenbezogene Daten enthalten, muss eine Forscherin bzw. ein Forscher die geltenden Vorschriften und Grundsätze des Datenschutzrechts beachten.

4. Zufallsbefunde

Der Umgang mit Proben einer Biobank im Rahmen eines Forschungsprojekts kann auch die Handhabung möglicher Zufallsbefunde umfassen. Die BBMRI-ERIC ELSI Knowledge Base berichtet über einige der wichtigsten Aspekte im Umgang mit Zufallsbefunden.[14] Wissenschaftler definieren Zufallsbefunde als „‚Befunde‘, die eine bestimmte Forschungsteilnehmerin oder einen bestimmten Forschungsteilnehmer betreffen, aber nicht direkt mit den primären oder sekundären Zielen des jeweiligen Projekts zusammenhängen. Dazu gehören Informationen, deren Auffinden im Rahmen der Forschung oder Diagnostik nicht geplant war, wie zum Beispiel Informationen über laufende Krankheiten oder Krankheitsprädispositionen, Informationen über biologische Elternschaft und Ähnliches.“[15]

Wenn Forschende bei der Bearbeitung von Proben einer Biobank auf Zufallsbefunde stoßen, sollten sie folgende Aspekte berücksichtigen, wie von BBMRI-ERIC berichtet:

1. Die Pflicht zur Offenlegung oder Nichtoffenlegung,
2. Einwilligungserklärung und Präferenzen der Teilnehmer*innen,
3. Datenschutz und Vertraulichkeit,
4. Ressourcenverteilung und Kosten,
5. Rechtliche und regulatorische Implikationen.[16]

Einwilligungserklärungen in der Biobankforschung können Angaben darüber enthalten, ob betroffene Personen/Patient*innen darüber informiert werden möchten, wenn Zufallsbefunde im Zusammenhang mit ihrer Gesundheit vorliegen. Zudem können die rechtlichen und regulatorischen Rahmenbedingungen zum Umgang mit Zufallsbefunden von Land zu Land variieren. Die Verordnung zum Europäischen Gesundheitsdatenraum (EHDS) sieht ebenfalls vor, dass betroffene Personen über wesentliche Befunde zu ihrer Gesundheit informiert werden müssen, sofern sie nicht ausdrücklich darauf verzichten.[17]

5. Menschliche Zellen und Gewebe

Neben den Anforderungen zum Schutz personenbezogener Daten müssen Biobanken sowie andere Forschungseinrichtungen, die an der Verarbeitung, Lagerung und Verteilung menschlicher Zellen und Gewebe beteiligt sind, die EU-Richtlinie über menschliches Gewebe (Human Tissue Directive) sowie das österreichische Gewebesicherheitsgesetz inklusive der dazugehörigen Verordnungen beachten.[18] Diese Gesetze legen Regeln zu Qualitäts- und Sicherheitsstandards für menschliches Gewebe und Zellen fest, die für die Anwendung am Menschen bestimmt sind. Die national zuständigen Behörden sind für die Überwachung dieser Tätigkeiten verantwortlich. Jede Gewebeeineinrichtung muss unter anderem die Vorschriften zur Vertraulichkeit einhalten und ein Qualitätssystem einführen, das auf den Grundsätzen guter Praxis basiert.[19]

Forschende, die menschliche Zellen und Gewebe bearbeiten, welche sie von einer Gewebeeinrichtung, z. B. einer Biobank, erhalten haben, müssen sich an die Vereinbarungen und Anforderungen halten, die im Material Transfer Agreement und den Zugangsbedingungen bezüglich aller Aspekte der Verarbeitung und Handhabung dieser Zellen und Gewebe festgelegt sind.[20]

6. Zusätzliche Anforderungen

Die dargestellte Übersicht über einige der rechtlichen Anforderungen hinsichtlich des Umgangs mit biobankierten Proben ist nicht vollständig, da spezifische Maßnahmen je nach Land, Biobank sowie Art der Proben unterschiedlich sein können, beispielsweise abhängig davon, ob personenbezogene Daten enthalten sind oder nicht.

Daher wird generell empfohlen, dass Forschende bei den Rechtsabteilungen ihrer Institutionen Rat einholen und alle vereinbarten Zugangsbedingungen sorgfältig lesen und einhalten.

Zusätzliche hilfreiche Ressourcen:

Rechtliches:

1. Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD), „Empfehlung des Rates zu Humanbiobanken und genetischen Forschungsdatenbanken“ OECD/LEGAL/0375 (angenommen am 22. Oktober 2009)

Sonstiges:

1. Valentina Colcelli, Roberto Cippitani, Christoph Brochhausen-Delius, Rainer Arnold (Hrsg.), GDPR Requirements for Biobanking Activities Across Europe (Springer 2023)
2. BBMRI-ERIC, ELSI Knowledge Base https://www.bbmri-eric.eu/elsi-knowledge-base/